FortiMailの重大な脆弱性CVE-2026-104286、ゼロデイ攻撃での悪用を報告

HTTPリクエストから任意ファイルを書き込みか

Fortinetは、深刻度を示すCVSSで9.8と評価したCVE-2026-104286がFortiMailに対して積極的に悪用されていると警告したと報じられている。
同社によれば、細工されたHTTPまたはHTTPSリクエストにより、認証されていない攻撃者が基盤システム上に任意のファイルを書き込める可能性がある。
Fortinetは、更新が利用可能になるまでIBE機能の無効化、または管理インターフェースへのアクセスを制限する対策を案内した。

報道では、FortiMail 7.2は7.4以降への更新で対処できる一方、影響対象の7.4、7.6、8.0系の修正版は今後の提供予定とされる。
またCISAがこの問題を既知の悪用脆弱性カタログに追加し、連邦機関には10月4日までの緩和を求めたとされる。

この報告は、過去の被害規模や影響を受けたシステム数について、比較できる基準を示していない。

Fortinetは、CVE-2026-104286が悪用されていると報告し、複数の影響対象FortiMail系列では修正版が今後提供予定のままであるとして緩和策を示した。
報道によれば、CISAもこの脆弱性を既知の悪用脆弱性カタログに追加した。

修正版を待つ系列には緩和策

管理インターフェースに関わる問題で、複数の影響対象系列では修正版が未提供の段階で悪用が報告されている。
報道は、悪用開始時期、侵害されたシステム数、攻撃者についてはFortinetが明らかにしていないとしている。